情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度春期 午前 問38: JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠して ISMS を運用している場合，内部監査について順守すべき要求事項は

問題本文

JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠して ISMS を運用している場合，内部監査について順守すべき要求事項はどれか。

選択肢

• ア.監査員には ISMS 認証機関が認定する研修の修了者を含まなければならない。
• イ.監査責任者は代表取締役が任命しなければならない。
• ウ.監査範囲は JIS Q 27001 に規定された管理策に限定しなければならない。
• エ.監査プログラムは前回までの監査結果を考慮しなければならない。

正解

エ. 監査プログラムは前回までの監査結果を考慮しなければならない。

解説

JIS Q 27001の内部監査に関する要求事項では、対象プロセスの重要性や過去の監査結果を考慮して監査プログラムを計画・確立することが求められている。よって「監査プログラムは前回までの監査結果を考慮しなければならない」と述べたエが正しい。

選択肢ごとの解説

• ア.監査員には客観性・公平性が求められるが、認証機関認定の研修修了者を含めることは要求事項として規定されていない。
• イ.監査責任者を代表取締役が任命しなければならないという具体的な規定は、JIS Q 27001の要求事項には存在しない。
• ウ.内部監査の範囲はISMSの要求事項全般や自組織の方針への適合性まで含まれ、規格の管理策に限定されるものではない。
• エ.正しい。監査プログラムは対象の重要性や前回までの監査結果を考慮して計画することが要求事項として定められている。